Vazamento na ShipMonk expõe dados de mais 67 mil clientes da Trezor nos EUA

A fabricante de carteiras físicas de criptomoedas Trezor informou que outros 67 mil clientes nos Estados Unidos tiveram informações pessoais expostas após uma violação de segurança na ShipMonk, empresa responsável por serviços de logística e envio. Os dados deveriam ter sido apagados anteriormente, segundo garantias fornecidas pela própria prestadora.

As informações comprometidas incluem nomes, endereços de e-mail, números de telefone, endereços de entrega e números de pedidos realizados entre novembro de 2019 e agosto de 2021. A Trezor ressaltou que o incidente não comprometeu a segurança de suas hardware wallets nem os ativos de criptomoedas armazenados pelos usuários.

O novo número se soma aos 13.689 clientes que a empresa havia informado anteriormente terem seus dados total ou parcialmente expostos. A descoberta amplia significativamente a dimensão conhecida do incidente.

O ponto central do caso envolve a retenção indevida das informações. A Trezor afirma que, durante seu relacionamento com a ShipMonk, solicitou repetidamente a exclusão dos dados e recebeu confirmações por escrito de que o procedimento havia sido realizado de acordo com contratos e políticas estabelecidas. Apesar dessas garantias, as informações continuavam armazenadas nos sistemas da prestadora.

A política da Trezor estabelece que dados relacionados às compras feitas em sua loja sejam apagados ou anonimizados depois de 90 dias. Esse período foi definido para cobrir o ciclo de uma compra, incluindo entrega, devoluções, reembolsos e substituições. Após esse prazo, segundo a fabricante, não haveria necessidade de manter endereços ou telefones dos clientes.

A ShipMonk notificou a Trezor em 10 de agosto de 2026 sobre um acesso não autorizado aos seus sistemas. A empresa de logística ainda não reconheceu publicamente o incidente, segundo o The Hacker News, mas teria protegido os sistemas afetados e reforçado suas medidas de segurança após a invasão.

O ataque teria explorado como zero-day a CVE-2026-72898, vulnerabilidade crítica de SQL Injection no Metabase com pontuação máxima de 10,0 no CVSS. A exploração da falha teria permitido aos invasores atingir clientes da plataforma e acessar informações sensíveis armazenadas em instâncias vulneráveis.

Segundo a empresa de segurança blockchain Halborn, o grupo de extorsão ShinyHunters estaria por trás do ataque. No caso da Trezor, os invasores teriam obtido detalhes de pedidos armazenados em uma instância do Metabase utilizada pela ShipMonk. A atribuição foi feita pela Halborn, e não anunciada pela própria Trezor como conclusão independente.

A fabricante está notificando diretamente os clientes afetados e alerta para possíveis campanhas de engenharia social. Os dados vazados podem ser utilizados para criar e-mails de phishing mais convincentes, realizar ligações fraudulentas, enviar correspondências ou se passar pela própria Trezor.

A exposição de endereços físicos também amplia a preocupação porque os criminosos sabem que determinados indivíduos adquiriram uma carteira de criptomoedas. A própria Trezor reconheceu que as informações vazadas podem representar riscos à segurança física dos clientes afetados.

O incidente também evidencia um risco de supply chain: mesmo quando uma organização possui políticas de retenção e exclusão de dados, informações compartilhadas com terceiros permanecem expostas caso fornecedores não cumpram os mesmos controles ou sejam comprometidos.